垃圾电子信息发展趋势及防御方法

垃圾电子信息发展趋势

及防御方法李志霄

微软中国首席技术官2007年9月25日僵尸网络和Rootkits技术病毒和蠕虫网络钓鱼和网络欺诈非授权访问垃圾邮件间谍软件法规符合性不适当的内容公司政策信息丢失/泄漏补丁管理非托管的计算机当今面临的挑战家庭安全身份盗窃垃圾邮件和网络钓鱼趋势在线威胁的演变垃圾邮件→

网络钓鱼→零天攻击垃圾内容→形象恼人的垃圾邮件→安全威胁的纳污池

日益增长的混合迷惑和数量目标攻击–鱼叉式网络钓鱼（spearfishing)如今90%以上的邮件都是垃圾邮件WindowsLive/Hotmail–每天都有50亿电子邮件网络钓鱼–在一年里增加了9倍世界范围的威胁“无防护的”计算机身份盗窃公司登录授权验证跨设备关键性基础设施计划设置攻击数据收集货币化分析Source:MicrosoftResearch/FSTC网络蠕虫拒绝服务Phonephreaking-电话一窥-伪造控制频率骚扰生产力网络钓鱼/社会工程谋取金钱的攻击僵尸网络和rootkits鱼叉式网络钓鱼-有的放矢的攻击，以特定的对象为标靶身份盗窃恶意软件零天攻击更高技术的攻击跨设备攻击设定目标攻击信誉跨设备VOIP威胁的演变：

损害信任、身份和隐私对客户信赖及在线信任的影响商业生产力和安全电子商务/网上银行国家安全和经济成长过去现在未来微软公司的安全策略通过安全创新、用户指导和行业合作建设安全的平台、产品和服务以确保客户的安全优秀的跨平台、产品和服务的基础其他实现安全的创新教育资讯和工具权威的应急回应用户体验的安全生态系统意识和教育协作与行业合作关系政策和执法电子邮件保护发件者身份架构SmartScreen™反垃圾邮件/网络钓鱼Outlook邮戳浏览器保护微软公司网络钓鱼过滤技术我/我的计算机一个多前线的战场：

用户、计算机、电子邮件和浏览器

为什么我们需要鉴定--发件者身份改进电子信息的可靠性和信任状况

从“发件者行”我们无从知晓其是否被伪造证明为发送域提供了“驱动器许可证”，即信誉的基础商业价值具有信誉的发件者身份架构（SIDF）改进了过滤技术

改进了输送能力和因而发生的电子邮件打开率

（openrates）保护品牌和域的可信性和信誉用户信赖和信任得到提高易用性发件者身份架构SIDF机理:SIDF是以IP為基礎的解決方案，經由合併「发件者策略架構」(SPF)和「MicrosofteCallerID電子郵件呼叫者識別碼」而產生。2006年4月，IETF頒布了寄件者識別碼規格RFC4405-4408在SIDF內，SPF記錄提供一份純文字記錄，載明了所有與某網域關聯的輸出郵件服务器，及其對應的IP位址。組織會將SPF記錄發佈到其DNS服务器區域檔，供收件者郵件服器务日後檢查。設定SPF記錄是既快速、容易而又免費的過程。「寄件者識別碼架構SPF記錄精靈」(SenderIDFrameworkSPFRecordWizard)提供按部就班的操作程序，可檢查網域郵件伺服器並建立要準備發佈的自訂記錄(有關如何發佈SPF記錄的詳細資料，請參閱/senderid。您可以從/senderid/wizard直接存取該精靈)。收件端SMTP服务器會對DNS中網域的區域檔執行ping以檢查是否有SPF記錄。找到後，即檢查比對寄件服务器的IP位址與記錄中所列的IP位址。若發現相符項目，則驗明該郵件並非假冒。要不然，如果寄件者的網域SPF記錄與郵件的來源IP位址不符，就算驗證失敗並給予負分評價，而該郵件可能會被放入垃圾郵件資料夾中。具有信誉的鉴定標示郵件後，SIDF會讓收件服务器根據寄件人過去的習性、信譽、郵件內容或其他可依需要定義的條件來分析郵件。這項功能提供了額外的安全保障。例如，濫發垃圾郵件者可能會登記酷似的網域和SPF發佈記錄，而讓使用者和收件端網路受騙誤以為郵件來自合法的寄件者。但即使這類電子郵件能通過驗證檢查，寄件者濫發垃圾郵件惡名遠播就足以構成將郵件被封鎖、歸為垃圾或刪除的條件。具有信誉的鉴定

提高输送能力失败通过SPF正文记录(DNS区文件）发件者身份检查PRA/MailFrom发件者名誉系统鉴别发件者是谁鉴定证据信誉的应用发送名誉用户反馈信誉是如何实现的四种重要过滤方法四种都是有用的、必要的，仍需改进的信誉可克服过滤技术局限性名誉内容过滤器收件箱垃圾已删除阻止列表------------------------------------------------------------------------个性化浏览器保护微软公司网络钓鱼过滤技术WindowsIE7WindowsLiveToolBar

我/我的计算机强有力的安全保护

IE7–

第二道防线对技术攻击的保护限制编程访问减少受攻击面当设置不安全时发出警告简化体系结构对社会工程攻击的保护反网络钓鱼轻松识别安全站点地址栏造假“单点”清除增强的第三方确认证书（SSL）设计要求客户利益和安全措施隐私

对虚假信息的防护微软公司网络钓鱼过滤技术对欺诈性网页站点的有力保护保护用户免遭网络钓鱼威胁的3项“检验”将网页站点与已知的合法站点的本地列表相比较扫描站点是否具有钓鱼站点的共同特征

再次检验站点是否符合onlineMicrosoftservice上实时更新的已通告的钓鱼站点。自Beta1启用起，超过120万钓鱼攻击都被阻拦下来。级别1:警告

以信号通知可疑的网页站点级别2:阻止

对已证实的钓鱼站点以信号通知并实行阻止。在InternetExplorer7和WindowsLive中警告和保护的两种级别微软公司网络钓鱼过滤技术

针对欺诈性网站的实时保护客户指导和教育

/athome/security

在美国，每月不重复使用人数（uniqueuser）为1700万。在全世界，有1300万不重复使用人数24种当地语言在超过35个市场应用协作

政府、行业和企业立法和执法立法的重要性是什么？为资讯人员的合法市场提供公告对已成为或将要成为垃圾邮件制造者的人造成激冷效应在适当的案例中允许实施各国一致的反垃圾邮件法有效避免“安全港”

促进国际和公众/企业合作政府在提高在线安全方面的积极作用它应是什么样的？严厉的民事或刑事处罚表现了常用的策略欺诈性的电子邮件（主题、标题、发信人地址栏）

收获（例如词典攻击）/Scripted帐户创建不包含单纯的通邮活动

保护ISP相应的反垃圾邮件民间执行权利所有有责任的方面，而并不仅是发件者保护观念和信息的自由流通“PEBRs”和“未请自到商业邮件”

的清晰定义不包括无效的“DoNotEmailRegisters”执法的重要性是什么？对我们客户的威胁日趋增长客户关注的电子邮件问题之一WindowsLive/MSN有超过两亿六千五百万的常用帐户，是世界上最大的基于网络的电子邮件服务。

每天阻止超过45亿的垃圾邮件--巨大影响对于公司的基础设施、设备、人员、生产力有巨大的影响对ISP们来说应拥有一定的民间执行权利与执法机构和政府部门的合作至关重要微软在全球起诉和协助执法机构处理了超过400个垃圾邮件、网络钓鱼、间谍软件案件主要教训：垃圾邮件者的狡诈和国际化趋势日益增长有效的立法和执法至关重要需要政府和行业的积极协作#1

鉴别国内和国外的电子邮件

支持可信生态系统#3

使用标准和最佳实践开发创新产品和服务#4

给企业和客户提供说明建议#2

企业、行业、政府部门的协作呼吁行动起来（CallToAction)

最大程度建立信赖和信心摘要

执行发件者ID–国内的和国外的发布您的SPF记录

/senderid/wizard

部署IE7实施您的域防御计划白皮书/safety更多信息/safety/senderid/athome/security

/

谢谢备份幻灯片公司SIDF采用

金融机构－

早期采用者来源：10/20DNSquery美国银行香港分行

中国银行交通银行东亚银行中国中信银行中国建设银行道亨银行星展银行中国工商银行港基国际银行民生银行浦东发展银行深圳发展银行7%24%0%14%56%80%+0%10%20%30%40%50%60%70%80%90%

F500-July-05

F500-Oct-07

ChinaBanks

FDICBanksF500-BanksF500-MktDomains发件者身份架构（SIDF）公司采用财富500强和银行网络钓鱼发展－日益增长的威胁来源：反网络钓鱼工作小组06年11月4,3677,1979,10311,12110,04719,00037,444OctDec-05FebAprilJuneAugOct唯一有效的网络钓鱼URLs-APWG11/2006发件者ID名誉示例垃圾邮件特征非垃圾邮件特征特征权数特征权数免费-0.0413文档

+0.0084免费（主题栏）-0.2397记录+0.0402热点（Hot）-0.0453机密的+0.0925色情-0.0756工作+0.1323文凭-0.1776文章+0.0234Viagra-0.3222Apple+0.1196域垃圾邮件名誉非垃圾邮件名誉特征权数特征权数Softfail

-1.7203通过+3.1642大的ISPNeutral-1.4998通过+3.7272国家零售商Softfail-2.1300通过+2.1255商业站点Softfail-0.8428通过+3.6682内容特征发件者ID名誉特征

注意：权数经常改变。上表所示值仅供说明。域防御策略

看起来像的（looka-like）域,品牌侵害和欺诈性的域获取

目标保护您的客户、保护您的品牌以及将网络钓鱼者绳之以法策略 1.观察,2.记录,3.恢复和帮助移除涉案内容（takedown）战术与“移除涉案内容服务（takedownservice）”合作创建一个突发事件响应策略清查盘存所有的品牌和域集中化管理/更新评审“Whois”信息微软公司域结果超过125,000个域被监控/超过3,300个域被获得/4,700个域被移除涉案内容（takedowns）名誉－对交付的影响涉及到投资、利率和财务信息的电子邮件通过过滤和启发法得出负的得分-.3103,倾向于将邮件置于垃圾邮件文件夹。来自具有良好名誉的已知银行的邮件通过SIDF，获得了+3.6682的正得分网络得分为3.3579，将导致其被传送到收件箱Outlook2007电子邮件邮戳难题–个人用户邮件出现时，可能会被过滤器当作垃圾邮件。但其实它是合法的。

提高输送能力和合法性，减少被认定为垃圾邮件的风险。解决方案－电子邮件邮戳MicrosoftSmartScreen分析邮件可能在接收网络时引发启发法的内容Outlook在邮件发送前，附上一